Die EWR-Vertragsstaaten tauschen die entsprechenden Informationen über das Fehlen eines
angemessenen Datenschutzniveaus im Gemeinsamen EWR-Ausschuss aus.?^?
In der DS-GVO ist die Datenübermittlung an Drittstaaten (bzw internationale Organisa-
tionen?) in den Art 44 ff geregelt. Art 44 DS-GVO schreibt generell ausdrücklich vor, dass
zusätzlich zu den in den einschlägigen Bestimmungen (des Kapitels V der VO) enthaltenen
Voraussetzungen auch die anderen Prämissen für die Zulässigkeit einer Datenverarbeitung
1.944
erfüllt werden müssen, damit die Datenübermittlung an einen Drittstaat rechtmäßig is
Diese Pflicht trifft sowohl Verantwortliche als auch Auftragsverarbeiter.?^
Zentrale Zulässigkeitsvoraussetzung für die Datenübermittlung an einen Drittstaat, dh an
einen Staat, der nicht dem EWR angehört, ist wie schon in der DS-RL das Vorliegen eines
angemessenen Datenschutzniveaus im jeweils betreffenden Drittstaat (Art 45 Abs 1 DS-
GVO).?^6 Ob dieses gegeben ist, basiert auf einem entsprechenden Beschluss der Kommis-
sion, der unmittelbar für die EU-Mitgliedstaaten gilt." Diesem Beschluss muss eine Prüfung
nach insb den in Art 45 Abs 2 DS-GVO festgelegten Kriterien (Rechtsstaatlichkeit, Anwen-
dung von Datenschutzvorschriften, Existenz und Funktionsweise von unabhàngigen Auf-
sichtsbehórden und eingegangene internationale datenschutzbezogene Vertráge oder Ver-
pflichtungen) vorangehen. Ist ein Angemessenheitsbeschluss ergangen, hat die Kommission
das Vorliegen der Angemessenheit in der Folge zu überwachen; sie kann, falls erforderlich,
den Prüfungsbeschluss mit ex nunc-Wirkung widerrufen bzw aussetzen: Dies kann dann ge-
schehen, wenn im betreffenden Drittstaat kein angemessenes Datenschutzniveau (mehr) vor-
handen ist und die Aussetzung ,aus Gründen áufierster Dringlichkeit erforderlich ist.*?^? Mit
dem Angemessenheitsbeschluss als Kernvoraussetzung fiir die Zuldssigkeit einer
942 Vgl die Anpassungen zu Art 25 Abs 3 DS-RL in Anhang XI zum EWRA, Z 5e lit a; dazu auch Jahnel,
Datenschutzrecht, Rz 4/136.
?8 Der Einfachheit halber sind in den nachstehenden Ausführungen die internationalen Organisationen mit dem
Begriff ,,Drittstaat"^ mitgemeint, sofern sie sich nicht spezifisch auf diese beziehen. Gem Art 4 Z 26 DS-GVO
wird der Begriff , internationale Organisation“ als ,eine vôlkerrechtliche Organisation und ihre nachgeordneten
Stellen oder jede sonstige Einrichtung“, die durch oder auf Basis eines bi- oder multilateralen vólkerrechtlichen
Vertrags geschaffen wurde.
?4 Vgl auch Erw 101 der DS-GVO; Knyrim, Datenübermittlung in Drittstaaten, in Knyrim, Datenschutz-Grund-
verordnung, 253 [254].
9:55 Vg] Knyrim in Knyrim, Datenschutz-Grundverordnung, 255.
946 Va] auch Feiler/Forgó, EU-DSGVO, Art 45, Rz 1.
947 Vg] Erw 103 der DS-GVO; die Geltung des Beschlusses im EWR setzt einen entsprechenden Beschluss des
Gemeinsamen EWR-Auschusses voraus, welcher in der Folge durch die EWR-Vertragsstaaten entsprechend ra-
tifiziert wird (Art 102 Abs 1 EWRA).
98 Vgl Erw 169 der DS-GVO; Feiler/Forgó, EU-DSGVO, Art 45, Rz 10.
174
